Oracle advierte sobre falla de seguridad que hackers abusaron para breachear más de 100 empresas

Oracle advirtió a sus clientes corporativos que existe una vulnerabilidad de calificación crítica en su software PeopleSoft, que es usado por grandes empresas para gestionar nómina y recursos humanos, un día después de que un grupo de ciberdelincuencia se atribuyera el abuso de la falla como parte de una campaña de hacking masivo.

La empresa publicó el aviso de seguridad el jueves después de que el grupo de hackers ShinyHunters afirmara haber comprometido más de 100 organizaciones que usan servidores PeopleSoft.

Mandiant, la unidad de seguridad propiedad de Google que investiga ciberataques, advirtió en una entrada de blog que la nueva falla de Oracle es el mismo error que el grupo ShinyHunters está abusando en su campaña de hacking dirigida a clientes de PeopleSoft.

Oracle, que no ha lanzado un parche para la vulnerabilidad en el momento de escribir esto, dijo en el aviso que el error puede ser explotado a través de internet sin necesidad de autenticación, como una contraseña.

El gigante tecnológico recomendó que los clientes que usan software PeopleSoft apliquen sus mitigaciones para prevenir explotación.

El miércoles, un miembro de ShinyHunters le dijo a TechCrunch que la banda comprometió a las empresas abusando de una falla sin parches en servidores PeopleSoft. El error se conoce como un zero-day porque la empresa afectada, en este caso Oracle, no tuvo tiempo de arreglarlo antes de que fuera descubierto y explotado.

Mandiant confirmó que también notificó a más de "100 organizaciones globales," la mayoría de ellas en Estados Unidos, en un esfuerzo por restringir el acceso a sus sistemas potencialmente vulnerables. El grupo de ciberseguridad dijo que aproximadamente dos tercios de estas organizaciones están en educación superior, lo que se alinea con lo que ShinyHunters afirmó previamente.

"Mientras que varias organizaciones bloquearon exitosamente la actividad o remediaron las vulnerabilidades, otras experimentaron compromiso, resultando en datos robados siendo publicados en el sitio de filtración de datos de ShinyHunters," escribió Mandiant.

Oracle no respondió a la solicitud de comentario de TechCrunch.

Fuente: TechCrunch